什么是 VPN？它向您的网站隐藏了什么？

向隐私倡导者和欺诈分析师分别询问什么是 VPN，您会得到同样的技术答案，却伴随截然相反的情绪。两者都没错：同一条隧道，既保护记者的浏览行为，也让撞库攻击者每隔几分钟就显得像从另一个国家登录。

如果您运营网站、应用或商店，就无法选择来的是哪种 VPN 用户。您能做的，是弄清 VPN 究竟改变了您收到的流量的哪些方面、攻击者为何依赖这种改变，以及如何做出响应，既阻止攻击者，又不赶走注重隐私的客户。本文涵盖这三点，并以更广泛的 IP 情报为基础。

什么是 VPN？

VPN（虚拟专用网络）会在用户设备与服务商运营的 VPN 服务器之间建立一条加密隧道。隧道一旦建立，设备的所有互联网流量都会被加密封装，送往该服务器，再从那里放出到开放的互联网。

这种设计带来两个结果：

• 在用户一侧，他们的 ISP、咖啡馆 Wi-Fi 以及本地网络上的其他任何人，都无法再读取或篡改流量。他们只能看到通向某台服务器的加密数据流。
• 在您一侧，作为接收访问的网站，您看到的是连接来自 VPN 服务器。IP 地址、据此得出的地理位置、网络所有者：一切描述的都是隧道的出口，而不是用户本人。

负责封装的协议（WireGuard、OpenVPN、IKEv2/IPsec）在年代和性能上各不相同，但对您流量的影响完全一致：用户的真实 IP 地址被替换为 VPN IP 地址。

VPN 改变了什么，没有改变什么

一个常见的误解（两个方向都有）是 VPN 能让访问者隐形。其实不能。它只是把一组可观察的事实换成另一组：

最后一行与前四行同样重要。VPN 只作用于网络层。它之上的一切（浏览器指纹、会话、所用账户、被扣款的银行卡）都原样通过。而且被替换的事实并非随机：VPN 出口集中在可识别的基础设施上，这正是分层的 VPN 与代理检测得以实现的原因。

谁在使用 VPN，以及为什么情况复杂

很多人至少有时会通过 VPN 浏览，而其中绝大多数并没有做任何坏事：

• 注重隐私的个人，不希望 ISP 或公共 Wi-Fi 记录自己的浏览行为。
• 远程员工，公司按政策让其流量走企业 VPN。他们往往无法关闭它。
• 旅行者和海外人士，从国外访问各类服务。
• 身处限制性国家的用户，对他们而言 VPN 就是基本的上网方式。

这就是“一刀切封锁 VPN”会制造大量误报的原因，我们在检测匿名化流量而不误拦真实客户中深入讨论过这个陷阱。

攻击者为何依赖 VPN

几乎所有互联网规模的攻击都离不开这种 IP 替换特性，因为防御方最廉价的控制手段（IP 封锁、地域规则、频率限制）全都依赖来源地址：

• 撞库与账户接管。 轮换 VPN 出口让攻击者可以把数百万次登录尝试分散到各个 IP，使任何单个地址都不会触发频率限制。其原理见我们的账户接管与撞库指南。
• 支付欺诈与盗刷测试。 在某国签发的被盗银行卡，当订单看起来来自该国时更好用。VPN 能随时让 IP 地理位置与账单地址一致。
• 绕过地域限制与规避制裁。 内容授权、区域定价、博彩和金融合规：全都靠 IP 位置来执行，也全都能通过从合适的国家出口来绕过。
• 优惠与注册滥用。 “每位用户一次免费试用”悄悄变成了每个 VPN 出口一次。
• 侦察与攻击掩护。 扫描器、爬虫和入侵尝试都经由 VPN 路由，这样封锁被观察到的 IP 并不会损害攻击者在意的任何东西。

需要牢记的规律是：VPN 本身不是攻击，而是攻击的补给线。 这就是检测它值得去做的原因，也是检测结果应当用于辅助决策、而不是单独触发动作的原因。

网站能判断访问者是否使用 VPN 吗？

通常可以，而且无需看到隧道内部。出口服务器会暴露自己：它可能出现在服务商公布的服务器列表上，通常位于真实购物者很少使用的数据中心 IP 段，并且在被探测时会响应 VPN 协议握手。这些检查单独使用时各有遗漏，我们在VPN 与代理检测逐信号详解中逐层介绍了每一层及其盲区。代理是另一个家族，有各自的特征，详见代理类型及各自检测难度指南。

检测到 VPN 后该怎么做

检测是容易的一半。决策才是企业要么阻止欺诈、要么开始流失客户的分水岭：

• 把 is_vpn 当作权重，而不是裁决。 仅凭使用 VPN 只是微弱的证据（想想那位远程员工）。VPN 使用加上数据中心 ASN，加上近期的滥用记录，加上 IP 与账单国家不一致，就完全是另一回事了。
• 用阻力而不是围墙来响应。 升级验证，例如邮件确认、一次性验证码（OTP）或审核暂缓，只会让合法的 VPN 用户多花几秒，却会让自动化攻击得不偿失。
• 硬性封锁只留给多项证据叠加的情形， 并按动作设定门槛：通过 VPN 阅读博客文章完全无需响应；一笔 900 美元的首次订单则可能需要。我们关于选择 IP 欺诈评分阈值的指南涵盖了按动作划分的框架。

真实 Mullvad 服务器的 VPN 查询返回什么

一次 GeoIPHub 查询就会返回 VPN 结论、网络上下文及其背后的证据，速度快到足以对每个请求都执行：

185.213.155.73 是 Mullvad 公布的中继列表中的一台 WireGuard 服务器。以下是精简后的真实响应（查询于 2026 年 10 月 14 日）：

结论附带了证据：服务器列表或已知网络的匹配（known_vpn_server）、服务商列表将该服务器标记为 WireGuard（wireguard_open），以及托管基础设施。这里的匹配来自 Mullvad 自己的服务器列表，因此 vpn_provider 以 95 的置信度指明了 Mullvad。

每个部分对您的防御有何贡献：

• detection.is_vpn、is_proxy、is_tor 标明匿名化工具的类别，而 GeoIPHub 的结论由验证基础设施确实表现得像 VPN 或代理的主动探测支撑，而不只是列表成员关系。Tor 在如何通过 IP 检测 Tor 流量中有专门讨论。
• asn.connection_type 和 asn.asn 提供上下文，用来区分商业网络上的企业 VPN 与防弹托管上的轮换出口。
• threat.is_abusive 和 threat.threat_types 告诉您威胁情报源是否因 VPN 之外的原因收录了该出口。带有滥用证据的 VPN IP，与干净的 VPN IP 风险截然不同。
• scoring.fraud_score 把这一切融合成 0 到 100 的数字，附带 recommended_action 分级（allow、review、step_up、block）和列出的 detection_methods，因此当客户询问为何被要求验证时，您的规则依然可以解释。

团队把它接入登录端点以发现撞库，接入注册流程以阻止试用滥用，接入 WAF/SIEM 流水线以对入站流量预先评分。更完整的做法，连同七种防御的经过测试的代码，见IP 数据如何阻止撞库、盗刷测试及其他网络犯罪。所有字段在每个套餐中都可使用，包括免费套餐：每天 1,500 次请求，没有字段付费墙。

在 Shopify 结账环节检测 VPN 订单

在电子商务中，VPN 检测最能体现真金白银的价值，因为漏检的代价是一次拒付，而误报的代价是一笔丢失的销售。Shopify 商店有一个干净的集成点，大多数商家从未使用：每个订单都会记录下单时的 IP 地址（订单上的 browser_ip 字段）。

由此可以得到一个简单的流程，能拦下其中大部分：

1. 监听订单创建 webhook。 载荷中除账单和收货详情外，还包含买家的 IP。
2. 查询该 IP，只需一次 GeoIPHub API 调用。
3. 比对并评分。 它是 VPN 或代理出口吗？是伪装成购物者的数据中心连接吗？IP 所在国家与账单国家矛盾吗？欺诈评分偏高吗？
4. 在发货前行动，而不是事后。 给订单打标签，暂缓待人工审核，或要求验证支付。干净的订单（绝大多数）会畅通无阻地通过。

VPN 订单并不自动等于欺诈订单；旅行者通过酒店 Wi-Fi 的 VPN 下单是真实的收入。但 VPN 出口加上 IP 与账单国家不一致，加上首次购买的客户，加上加急配送，正是典型的盗刷银行卡特征，在发货前拦截它，每个订单多一次 API 调用是值得的。同一个 IP 层还能发现最新的结账威胁，即自动化购买代理，我们在拦截结账环节的 AI 购物代理欺诈中做过剖析。

检测出口，为会话评分，不搞一刀切封锁

VPN 是一条加密隧道，用服务器的 IP 替换用户的真实 IP。它是一种合法的隐私工具，同时也是撞库、支付欺诈和地域规避的标准掩护。您的网站看不透隧道，但也不需要：出口可以通过服务商基础设施、网络分类和主动探测被检测出来。检测它们，结合上下文为其评分，用阻力而非一刀切的封锁来响应，VPN 就不再是盲区，也不会让您损失任何一位真实客户。

您可以现在就在免费 IP 查询工具或 VPN 检测测试中测试任意 IP，无需注册；也可以获取免费 API 密钥，借助 API 文档把 VPN 检测接入您的登录、注册或结账流程。

常见问题

用通俗的话说，什么是 VPN？

VPN（虚拟专用网络）是用户设备与 VPN 服务器之间的加密隧道。用户的所有流量都经过这条隧道，并从 VPN 服务器出口进入互联网，因此他们访问的每个网站看到的都是服务器的 IP 地址和位置，而不是用户的真实信息。

网站能检测到访问者在使用 VPN 吗？

大多数情况下可以。网站看不到加密隧道内部，但能识别出口：商业 VPN 服务器位于公开的基础设施上，处于数据中心 IP 段，并且会响应 VPN 协议握手。IP 情报服务会把传入的 IP 与这些信号比对，并返回诸如 is_vpn: true 的结论。

VPN 会改变您的 IP 地址吗？

会。VPN 连接期间，用户访问的每个网站看到的都是 VPN 服务器的 IP 地址，而不是 ISP 分配给用户的 IP。网站据此得出的位置和网络所有者描述的也是服务器，这就是 VPN 用户看起来可能身处另一个国家的原因。

我应该封锁网站上的所有 VPN 流量吗？

通常不应该。相当一部分互联网用户出于完全正当的隐私或工作原因使用 VPN。更好的做法是把 VPN 的使用当作风险评分中的一个加权输入：放行低风险的 VPN 会话，当 VPN 与其他风险信号同时出现时增加升级验证，而硬性封锁只留给多项证据叠加的情形。

能在 Shopify 订单上检测 VPN 流量吗？

可以。Shopify 会记录买家下单时使用的 IP 地址（订单上的 browser_ip 字段）。订单 webhook 触发时，您可以用 VPN 检测 API 查询该 IP，然后在发货前对高风险订单打标签或暂缓处理以待审核。每个订单只需一次 API 调用。

GeoIPHub 如何检测 VPN IP 地址？

GeoIPHub 结合服务商基础设施数据、ASN 与托管分类，以及验证服务器确实表现得像 VPN 端点的主动协议探测。随后它会返回 is_vpn，以及 is_proxy、is_tor、连接类型、滥用证据和 0 到 100 的欺诈评分，并列出检测方法，让您看到某个 IP 被标记的原因。